ストーリー

データプライバシー規制の全体像

主要な規制とその要件

共通する基本原則

Privacy by Design の実践

7つの基本原則

PIA（プライバシー影響評価）プロセス

PIA（プライバシー影響評価）の流れ:

Step 1: データフローの特定
  └── どのPIIが、どこで、どのように処理されるか

Step 2: リスクの識別
  ├── 収集段階のリスク（過剰収集、同意不備）
  ├── 処理段階のリスク（目的外利用、不適切なアクセス）
  ├── 保存段階のリスク（暗号化不備、過剰保持）
  └── 共有段階のリスク（第三者提供、越境移転）

Step 3: リスクの評価
  ├── 影響度（高/中/低）
  └── 発生可能性（高/中/低）

Step 4: 対策の策定
  ├── 技術的対策（暗号化、匿名化、アクセス制御）
  └── 組織的対策（ポリシー、教育、監査）

Step 5: 残留リスクの受容判断
  └── 対策後も残るリスクを経営層が判断

データ保護の技術的対策

技術的対策の一覧

データ保護レベルの設計

データ削除権（忘れられる権利）への対応

技術的な実装パターン

削除対応のアーキテクチャ

削除リクエストの処理フロー:

[ユーザー] ──→ [削除リクエストAPI]
                    │
                    ├── 本人確認
                    ├── 削除対象データの特定
                    │     ├── 顧客マスター（物理削除）
                    │     ├── 注文履歴（仮名化）
                    │     ├── 行動ログ（匿名化）
                    │     └── バックアップ（次回ローテーション時に削除）
                    ├── 削除実行
                    ├── 第三者提供先への削除通知
                    └── 削除完了の記録・通知

「プライバシー対応は”やらなければならないこと”ではなく、“顧客の信頼を勝ち取るための投資”だ。プライバシーを大切にする組織は、顧客からも社員からも信頼される」 — 田中VPoE

まとめ

チェックリスト

• 主要なデータプライバシー規制の概要を把握した
• Privacy by Designの7原則を理解した
• PIAのプロセスを把握した
• データ保護の技術的対策を理解した
• 削除権への対応パターンを把握した

次のステップへ

次は「演習：データガバナンス体制を設計しよう」です。ここまで学んだガバナンスフレームワーク、オーナーシップ、メタデータ管理、プライバシー対応を統合して、具体的な体制を設計します。

推定読了時間: 30分